certfr_alerte - certfr-2023-ale-012

CERTFR-2023-ALE-012

Vulnerability from certfr_alerte

[Mise à jour du 22 novembre 2023]

L'éditeur a publié un document [3] le 20 novembre 2023 listant les différents journaux à analyser ainsi que les éléments à rechercher pour identifier une activité pouvant être liée à une compromission.

Par ailleurs, la CISA a publié un avis de sécurité le 21 novembre 2023 [4] indiquant que, comme anticipé le 24 octobre, des campagnes d'exploitation massives sont en cours notamment pour le déploiement de rançongiciels.

Le CERT-FR rappelle que tout équipement qui n'aurait pas été mis à jour doit être considéré comme compromis. Il est impératif de réaliser des investigations sans délai [5] en s'appuyant sur l'ensemble des recommandations fournies dans les différentes publications [2][3][4].

[Mise à jour du 24 octobre 2023] Des chercheurs ont publiés des détails techniques sur la vulnérabilité ce jour. Le CERT-FR anticipe l'apparition de codes d'exploitation publics suivie d'une augmentation des tentatives d'exploitation de cette vulnérabilité.

[Publication initiale]

Le 10 octobre 2023, Citrix a publié un avis de sécurité [1] concernant la vulnérabilité CVE-2023-4966 affectant NetScaler ADC et NetScaler Gateway. L'éditeur lui a donné un score de 9,4 et indiqué qu'elle permet une atteinte à la confidentialité des données.

Le 17 octobre 2023, Citrix a mis son avis à jour pour déclarer avoir connaissance d'exploitations actives de la vulnérabilité CVE-2023-4966.

Le même jour, Mandiant a publié un billet de blogue [2] dans lequel l'entreprise déclare avoir connaissance d'exploitations actives de cette vulnérabilité depuis fin août 2023. Mandiant précise que l’exploitation de cette vulnérabilité permet à l'attaquant de prendre le contrôle de sessions actives avec le niveau de privilèges des utilisateurs concernés. Cela permet de contourner l'authentification à multiples facteurs et le seul fait d'appliquer la mise à jour ne bloque pas l'accès à l'attaquant.

Sur la base des informations fournies par Mandiant dans son rapport (cf. le rapport détaillé référencé dans son billet [2]), le CERT-FR recommande de réaliser les actions suivantes :

appliquer la mise à jour sans délai ;
couper toutes les sessions existantes sans délai ;
renouveler les mots de passe des comptes déclarés sur les passerelles vulnérables ;
mener des investigations pour identifier les actions prises par un potentiel attaquant.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

NetScaler ADC et NetScaler Gateway versions 14.1.x antérieures à 14.1-8.50
NetScaler ADC et NetScaler Gateway versions 13.1.x antérieures à  13.1-49.15
NetScaler ADC et NetScaler Gateway versions 13.0.x antérieures à 13.0-92.19
NetScaler ADC 13.1-FIPS versions antérieures à 13.1-37.164
NetScaler ADC 12.1-FIPS versions antérieures à 12.1-55.300
NetScaler ADC 12.1-NDcPP versions antérieures à 12.1-55.300

Citrix indique que NetScaler ADC et NetScaler Gateway versions 12.1 sont obsolètes.

Impacted products

	Vendor	Product	Description

References

Title

Publication Time

Tags

[1] Bulletin de sécurité Citrix CTX579459 du 10 octobre 2023	None	vendor-advisory
[4] Avis de sécurité de la CISA du 21 novembre 2023	-	other
[5] Les bons réflexes en cas d'intrusion sur un système d'information	-	other
[2] Billet de blogue Mandiant du 17 octobre 2023	-	other
Avis CERT-FR CERTFR-2023-AVI-0823 du 11 octobre 2023	-	other
[3] Billet de blogue NetScaler du 20 novembre 2023	-	other

Show details on source website

JSON

To clipboard

{
  "$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
  "affected_systems": [],
  "affected_systems_content": "\u003cul\u003e \u003cli\u003eNetScaler ADC et NetScaler Gateway versions 14.1.x ant\u00e9rieures \u00e0 14.1-8.50\u003c/li\u003e \u003cli\u003eNetScaler ADC et NetScaler Gateway versions 13.1.x ant\u00e9rieures \u00e0 \u202f13.1-49.15\u003c/li\u003e \u003cli\u003eNetScaler ADC\u00a0et NetScaler Gateway versions 13.0.x ant\u00e9rieures \u00e0 13.0-92.19\u003c/li\u003e \u003cli\u003eNetScaler ADC 13.1-FIPS versions ant\u00e9rieures \u00e0 13.1-37.164\u003c/li\u003e \u003cli\u003eNetScaler ADC 12.1-FIPS versions ant\u00e9rieures \u00e0 12.1-55.300\u003c/li\u003e \u003cli\u003eNetScaler ADC 12.1-NDcPP versions ant\u00e9rieures \u00e0 12.1-55.300\u003c/li\u003e \u003c/ul\u003e \u003cp\u003eCitrix indique que NetScaler ADC et NetScaler Gateway versions 12.1 sont obsol\u00e8tes.\u003c/p\u003e ",
  "closed_at": "2024-02-16",
  "content": "## Solution\n\nSe r\u00e9f\u00e9rer au bulletin de s\u00e9curit\u00e9 de l\u0027\u00e9diteur pour l\u0027obtention des\ncorrectifs (cf. section Documentation).\n",
  "cves": [
    {
      "name": "CVE-2023-4966",
      "url": "https://www.cve.org/CVERecord?id=CVE-2023-4966"
    }
  ],
  "initial_release_date": "2023-10-23T00:00:00",
  "last_revision_date": "2024-02-16T00:00:00",
  "links": [
    {
      "title": "[4] Avis de s\u00e9curit\u00e9 de la CISA du 21 novembre 2023",
      "url": "https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-325a"
    },
    {
      "title": "[5] Les bons r\u00e9flexes en cas d\u0027intrusion sur un syst\u00e8me d\u0027information",
      "url": "https://www.cert.ssi.gouv.fr/les-bons-reflexes-en-cas-dintrusion-sur-un-systeme-dinformation/"
    },
    {
      "title": "[2] Billet de blogue Mandiant du 17 octobre 2023",
      "url": "https://www.mandiant.com/resources/blog/remediation-netscaler-adc-gateway-cve-2023-4966"
    },
    {
      "title": "Avis CERT-FR CERTFR-2023-AVI-0823 du 11 octobre 2023",
      "url": "https://www.cert.ssi.gouv.fr/avis/CERTFR-2023-AVI-0823/"
    },
    {
      "title": "[3] Billet de blogue NetScaler du 20 novembre 2023",
      "url": "https://www.netscaler.com/blog/news/netscaler-investigation-recommendations-for-cve-2023-4966/"
    }
  ],
  "reference": "CERTFR-2023-ALE-012",
  "revisions": [
    {
      "description": "Version initiale",
      "revision_date": "2023-10-23T00:00:00.000000"
    },
    {
      "description": "Publication de d\u00e9tails techniques",
      "revision_date": "2023-10-24T00:00:00.000000"
    },
    {
      "description": "Mise \u00e0 jour : publications de l\u0027\u00e9diteur et de la CISA",
      "revision_date": "2023-11-22T00:00:00.000000"
    },
    {
      "description": "Cl\u00f4ture de l\u0027alerte. Cela ne signifie pas la fin d\u0027une menace. Seule l\u0027application de la mise \u00e0 jour permet de vous pr\u00e9munir contre l\u0027exploitation de la vuln\u00e9rabilit\u00e9 correspondante.",
      "revision_date": "2024-02-16T00:00:00.000000"
    }
  ],
  "risks": [
    {
      "description": "Atteinte \u00e0 la confidentialit\u00e9 des donn\u00e9es"
    },
    {
      "description": "Ex\u00e9cution de code arbitraire \u00e0 distance"
    }
  ],
  "summary": "\u003cspan style=\"color: #ff0000;\"\u003e\u003cstrong\u003e\\[Mise \u00e0 jour du 22 novembre\n2023\\]\u003c/strong\u003e\u003c/span\u003e\n\nL\u0027\u00e9diteur a publi\u00e9 un document \\[3\\] le 20 novembre 2023 listant les\ndiff\u00e9rents journaux \u00e0 analyser ainsi que les \u00e9l\u00e9ments \u00e0 rechercher pour\nidentifier une activit\u00e9 pouvant \u00eatre li\u00e9e \u00e0 une compromission.\n\nPar ailleurs, la CISA a publi\u00e9 un avis de s\u00e9curit\u00e9 le 21 novembre 2023\n\\[4\\] indiquant que, comme anticip\u00e9 le 24 octobre, des \u003cspan\nstyle=\"text-decoration: underline;\"\u003ecampagnes d\u0027exploitation\u003c/span\u003e\nmassives sont en cours notamment pour le \u003cspan\nstyle=\"text-decoration: underline;\"\u003ed\u00e9ploiement de ran\u00e7ongiciels\u003c/span\u003e.\n\n\u003cspan style=\"color: #ff0000;\"\u003e\u003cstrong\u003eLe CERT-FR rappelle que tout \u00e9quipement\nqui n\u0027aurait pas \u00e9t\u00e9 mis \u00e0 jour doit \u00eatre consid\u00e9r\u00e9 comme compromis. Il\nest imp\u00e9ratif de r\u00e9aliser des investigations sans d\u00e9lai \\[5\\] en\ns\u0027appuyant sur l\u0027ensemble des recommandations fournies dans les\ndiff\u00e9rentes publications \\[2\\]\\[3\\]\\[4\\].\u003c/strong\u003e\u003c/span\u003e\n\n\u00a0\n\n\u003cspan style=\"color: #000000;\"\u003e\u003cstrong\u003e\\[Mise \u00e0 jour du 24 octobre 2023\\]\u003c/strong\u003e\n\u003c/span\u003eDes chercheurs ont publi\u00e9s des d\u00e9tails techniques sur la\nvuln\u00e9rabilit\u00e9 ce jour. \u003cspan style=\"text-decoration: underline;\"\u003eLe\nCERT-FR anticipe l\u0027apparition de codes d\u0027exploitation publics suivie\nd\u0027une augmentation des tentatives d\u0027exploitation de cette\nvuln\u00e9rabilit\u00e9\u003c/span\u003e.\n\n\u003cstrong\u003e\\[Publication initiale\\]\u003c/strong\u003e\n\nLe 10 octobre 2023, Citrix a publi\u00e9 un avis de s\u00e9curit\u00e9 \\[1\\] concernant\nla vuln\u00e9rabilit\u00e9 CVE-2023-4966 affectant NetScaler ADC et NetScaler\nGateway. L\u0027\u00e9diteur lui a donn\u00e9 un score de 9,4 et indiqu\u00e9 qu\u0027elle permet\nune atteinte \u00e0 la confidentialit\u00e9 des donn\u00e9es.\n\nLe 17 octobre 2023, Citrix a mis son avis \u00e0 jour pour d\u00e9clarer avoir\nconnaissance d\u0027exploitations actives de la vuln\u00e9rabilit\u00e9 CVE-2023-4966.\n\nLe m\u00eame jour, Mandiant a publi\u00e9 un billet de blogue \\[2\\] dans lequel\nl\u0027entreprise d\u00e9clare avoir connaissance d\u0027exploitations actives de cette\nvuln\u00e9rabilit\u00e9 depuis fin ao\u00fbt 2023.\u00a0 Mandiant pr\u00e9cise que l\u2019exploitation\nde cette vuln\u00e9rabilit\u00e9 permet \u00e0 l\u0027attaquant de prendre le contr\u00f4le de\nsessions actives avec le niveau de privil\u00e8ges des utilisateurs\nconcern\u00e9s. Cela permet de contourner l\u0027authentification \u00e0 multiples\nfacteurs et le seul fait d\u0027appliquer la mise \u00e0 jour ne bloque pas\nl\u0027acc\u00e8s \u00e0 l\u0027attaquant.\n\nSur la base des informations fournies par Mandiant dans son rapport (cf.\nle rapport d\u00e9taill\u00e9 r\u00e9f\u00e9renc\u00e9 dans son billet \\[2\\]), le CERT-FR\nrecommande de r\u00e9aliser les actions suivantes :\n\n-   appliquer la mise \u00e0 jour \u003cspan\n    style=\"text-decoration: underline;\"\u003esans d\u00e9lai\u003c/span\u003e ;\n-   couper toutes les sessions existantes \u003cspan\n    style=\"text-decoration: underline;\"\u003esans d\u00e9lai\u003c/span\u003e ;\n-   renouveler les mots de passe des comptes d\u00e9clar\u00e9s sur les\n    passerelles vuln\u00e9rables ;\n-   mener des investigations pour identifier les actions prises par un\n    potentiel attaquant.\n\n\u00a0\n",
  "title": "[M\u00e0J] Vuln\u00e9rabilit\u00e9 dans Citrix NetScaler ADC et NetScaler Gateway",
  "vendor_advisories": [
    {
      "published_at": null,
      "title": "[1] Bulletin de s\u00e9curit\u00e9 Citrix CTX579459 du 10 octobre 2023",
      "url": "https://support.citrix.com/article/CTX579459/netscaler-adc-and-netscaler-gateway-security-bulletin-for-cve20234966-and-cve20234967"
    }
  ]
}

CVE-2023-4966 (GCVE-0-2023-4966)

Vulnerability from cvelistv5

Published

2023-10-10 13:12

Modified

2025-10-21 23:05

Severity ?

9.4 (Critical) - CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L

CWE

CWE-119 - Improper Restriction of Operations within the Bounds of a Memory Buffer

Summary

Sensitive information disclosure in NetScaler ADC and NetScaler Gateway when configured as a Gateway (VPN virtual server, ICA Proxy, CVPN, RDP Proxy) or AAA  virtual server.

References

URL

Tags

	https://support.citrix.com/article/CTX579459
	http://packetstormsecurity.com/files/175323/Citrix-Bleed-Session-Token-Leakage-Proof-Of-Concept.html

Impacted products

Vendor

Product

Version

Citrix

NetScaler ADC

Version: 14.1
Version: 13.1
Version: 13.0
Version: 13.1-FIPS
Version: 12.1-FIPS
Version: 12.1-NDcPP

Citrix

NetScaler Gateway

Version: 14.1
Version: 13.1
Version: 13.0

Show details on NVD website

JSON

To clipboard

{
  "containers": {
    "adp": [
      {
        "providerMetadata": {
          "dateUpdated": "2024-08-02T07:44:53.522Z",
          "orgId": "af854a3a-2127-422b-91ae-364da2661108",
          "shortName": "CVE"
        },
        "references": [
          {
            "tags": [
              "x_transferred"
            ],
            "url": "https://support.citrix.com/article/CTX579459"
          },
          {
            "tags": [
              "x_transferred"
            ],
            "url": "http://packetstormsecurity.com/files/175323/Citrix-Bleed-Session-Token-Leakage-Proof-Of-Concept.html"
          }
        ],
        "title": "CVE Program Container"
      },
      {
        "metrics": [
          {
            "other": {
              "content": {
                "id": "CVE-2023-4966",
                "options": [
                  {
                    "Exploitation": "active"
                  },
                  {
                    "Automatable": "yes"
                  },
                  {
                    "Technical Impact": "total"
                  }
                ],
                "role": "CISA Coordinator",
                "timestamp": "2023-11-22T05:00:08.466868Z",
                "version": "2.0.3"
              },
              "type": "ssvc"
            }
          },
          {
            "other": {
              "content": {
                "dateAdded": "2023-10-18",
                "reference": "https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-4966"
              },
              "type": "kev"
            }
          }
        ],
        "providerMetadata": {
          "dateUpdated": "2025-10-21T23:05:35.045Z",
          "orgId": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
          "shortName": "CISA-ADP"
        },
        "references": [
          {
            "tags": [
              "government-resource"
            ],
            "url": "https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-4966"
          }
        ],
        "timeline": [
          {
            "lang": "en",
            "time": "2023-10-18T00:00:00+00:00",
            "value": "CVE-2023-4966 added to CISA KEV"
          }
        ],
        "title": "CISA ADP Vulnrichment"
      }
    ],
    "cna": {
      "affected": [
        {
          "defaultStatus": "unaffected",
          "product": "NetScaler ADC",
          "vendor": "Citrix",
          "versions": [
            {
              "lessThan": "8.50",
              "status": "affected",
              "version": "14.1",
              "versionType": "patch"
            },
            {
              "lessThan": "49.15",
              "status": "affected",
              "version": "13.1",
              "versionType": "patch"
            },
            {
              "lessThan": "92.19",
              "status": "affected",
              "version": "13.0",
              "versionType": "patch"
            },
            {
              "lessThan": "37.164",
              "status": "affected",
              "version": "13.1-FIPS",
              "versionType": "patch"
            },
            {
              "lessThan": "55.300",
              "status": "affected",
              "version": "12.1-FIPS",
              "versionType": "patch"
            },
            {
              "lessThan": "55.300",
              "status": "affected",
              "version": "12.1-NDcPP",
              "versionType": "patch"
            }
          ]
        },
        {
          "defaultStatus": "unaffected",
          "product": "NetScaler Gateway",
          "vendor": "Citrix",
          "versions": [
            {
              "lessThan": "8.50",
              "status": "affected",
              "version": "14.1",
              "versionType": "patch"
            },
            {
              "lessThan": "49.15",
              "status": "affected",
              "version": "13.1",
              "versionType": "patch"
            },
            {
              "lessThan": "92.19",
              "status": "affected",
              "version": "13.0",
              "versionType": "patch"
            }
          ]
        }
      ],
      "datePublic": "2023-10-10T12:33:00.000Z",
      "descriptions": [
        {
          "lang": "en",
          "supportingMedia": [
            {
              "base64": false,
              "type": "text/html",
              "value": "\u003cb\u003e\u003cp\u003e\u003cb\u003e\u003cspan style=\"background-color: transparent;\"\u003eSensitive information disclosure\u0026nbsp;\u003c/span\u003e\u003c/b\u003e\u003cspan style=\"background-color: var(--wht);\"\u003ein NetScaler ADC and NetScaler Gateway when configured as a\u0026nbsp;\u003c/span\u003e\u003cspan style=\"background-color: transparent;\"\u003eGateway (VPN virtual server, ICA Proxy, CVPN, RDP Proxy)\u0026nbsp;\u003c/span\u003e\u003cspan style=\"background-color: transparent;\"\u003eor\u0026nbsp;\u003c/span\u003e\u003cspan style=\"background-color: transparent;\"\u003eAAA \u202fvirtual\u202fserver.\u0026nbsp;\u003c/span\u003e\u003cspan style=\"background-color: transparent;\"\u003e\u003cbr\u003e\u003c/span\u003e\u003cspan style=\"background-color: var(--wht);\"\u003e\u003cbr\u003e\u003c/span\u003e\u003c/p\u003e\u003c/b\u003e"
            }
          ],
          "value": "Sensitive information disclosure\u00a0in NetScaler ADC and NetScaler Gateway when configured as a\u00a0Gateway (VPN virtual server, ICA Proxy, CVPN, RDP Proxy)\u00a0or\u00a0AAA \u202fvirtual\u202fserver."
        }
      ],
      "metrics": [
        {
          "cvssV3_1": {
            "attackComplexity": "LOW",
            "attackVector": "NETWORK",
            "availabilityImpact": "LOW",
            "baseScore": 9.4,
            "baseSeverity": "CRITICAL",
            "confidentialityImpact": "HIGH",
            "integrityImpact": "HIGH",
            "privilegesRequired": "NONE",
            "scope": "UNCHANGED",
            "userInteraction": "NONE",
            "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L",
            "version": "3.1"
          },
          "format": "CVSS",
          "scenarios": [
            {
              "lang": "en",
              "value": "GENERAL"
            }
          ]
        }
      ],
      "problemTypes": [
        {
          "descriptions": [
            {
              "cweId": "CWE-119",
              "description": "CWE-119 Improper Restriction of Operations within the Bounds of a Memory Buffer",
              "lang": "en",
              "type": "CWE"
            }
          ]
        }
      ],
      "providerMetadata": {
        "dateUpdated": "2023-10-25T15:06:16.721Z",
        "orgId": "e437aed5-38e0-4fa3-a98b-cb73e7acaec6",
        "shortName": "Citrix"
      },
      "references": [
        {
          "url": "https://support.citrix.com/article/CTX579459"
        },
        {
          "url": "http://packetstormsecurity.com/files/175323/Citrix-Bleed-Session-Token-Leakage-Proof-Of-Concept.html"
        }
      ],
      "source": {
        "discovery": "UNKNOWN"
      },
      "title": "Unauthenticated sensitive information disclosure",
      "x_generator": {
        "engine": "Vulnogram 0.1.0-dev"
      }
    }
  },
  "cveMetadata": {
    "assignerOrgId": "e437aed5-38e0-4fa3-a98b-cb73e7acaec6",
    "assignerShortName": "Citrix",
    "cveId": "CVE-2023-4966",
    "datePublished": "2023-10-10T13:12:17.644Z",
    "dateReserved": "2023-09-14T15:51:21.569Z",
    "dateUpdated": "2025-10-21T23:05:35.045Z",
    "state": "PUBLISHED"
  },
  "dataType": "CVE_RECORD",
  "dataVersion": "5.1"
}

Sightings

Author	Source	Type	Date

Nomenclature

Seen: The vulnerability was mentioned, discussed, or seen somewhere by the user.
Confirmed: The vulnerability is confirmed from an analyst perspective.
Published Proof of Concept: A public proof of concept is available for this vulnerability.
Exploited: This vulnerability was exploited and seen by the user reporting the sighting.
Patched: This vulnerability was successfully patched by the user reporting the sighting.
Not exploited: This vulnerability was not exploited or seen by the user reporting the sighting.
Not confirmed: The user expresses doubt about the veracity of the vulnerability.
Not patched: This vulnerability was not successfully patched by the user reporting the sighting.

Action not permitted

CERTFR-2023-ALE-012

Vulnerability from certfr_alerte

Solution

CVE-2023-4966 (GCVE-0-2023-4966)

Vulnerability from cvelistv5

Tags

Sightings

Nomenclature